Cookie-Richtlinie erstellen: so geht es richtig

Eine Cookie-Richtlinie erklärt, welche Cookies auf Ihrer Website laufen, wofür sie eingesetzt werden, wie lange sie gespeichert bleiben und welche Wahlmöglichkeiten Besucher haben. Nach DSGVO und § 25 TDDDG ist sie der übliche Weg, die Transparenzpflichten rund um Cookies zu erfüllen.

Das häufigste Problem in der Praxis ist nicht die fehlende Richtlinie, sondern eine von einer anderen Website übernommene, die mit den tatsächlich gesetzten Cookies nichts zu tun hat. Bei einer Beschwerde oder Prüfung ist der erste Blick immer derselbe: Stimmt die veröffentlichte Liste mit dem überein, was die Website wirklich tut?

Dieser Leitfaden zeigt Schritt für Schritt, wie eine Cookie-Richtlinie entsteht, die zur Realität passt: erst das Inventar, dann die Einordnung, dann der Text.

Ist die Cookie-Richtlinie ein eigenes Dokument, und ist sie Pflicht?

Kein Gesetz verlangt ein Dokument mit dem Titel "Cookie-Richtlinie". Verlangt werden Transparenz über die per Cookies verarbeiteten Daten und eine Einwilligung, bevor nicht notwendige Cookies gesetzt werden. Die Cookie-Richtlinie ist schlicht die etablierte Form, den Transparenzteil zu erfüllen.

Ein eigenes Dokument lohnt sich trotzdem, aus einem praktischen Grund: Die Cookie-Liste ändert sich deutlich häufiger als der Rest Ihrer Datenschutzdokumente. Kommt ein neues Marketing-Pixel dazu, aktualisieren Sie eine Seite statt der gesamten Datenschutzerklärung.

Auch das Verhältnis zur Datenschutzerklärung gehört geklärt: Die Datenschutzerklärung deckt die gesamte Verarbeitung ab, die Cookie-Richtlinie vertieft den Cookie-Teil. Beide dürfen aufeinander verweisen, ersetzen einander aber nicht.

Erster Schritt Inventar: Welche Cookies laufen wirklich auf Ihrer Website?

Eine Cookie-Richtlinie beginnt mit einem Inventar, nicht mit einem Texteditor. Jede Richtlinie, die ohne Kenntnis der tatsächlich gesetzten Cookies geschrieben wird, ist eine Vermutung, und vermutete Richtlinien sind fast immer unvollständig.

Das Inventar lässt sich von Hand erstellen: Entwicklerwerkzeuge im Browser öffnen, die Website durchklicken, jeden gespeicherten Cookie notieren. Zwei Dinge gehen dabei regelmäßig verloren. Erstens laden manche Cookies nur auf bestimmten Seiten; die Startseite allein reicht nicht. Zweitens rufen Skripte von Drittanbietern weitere Anbieter auf, deren Cookies bei manueller Prüfung leicht durchrutschen.

Diesen Schritt können Sie mit einem kostenlosen Cookie-Scan automatisieren. Der Scan listet die verwendeten Cookies und die im Hintergrund aufgerufenen Drittanbieter-Dienste; die Cookie-Tabelle Ihrer Richtlinie entsteht aus diesem Inventar.

Cookies richtig einordnen

Steht das Inventar, wird jeder Cookie einer Kategorie zugeordnet. Üblich sind vier Gruppen:

• Unbedingt erforderliche Cookies: Sitzung, Sicherheit, Warenkorb, ohne die die Website nicht funktioniert.
• Funktionale Cookies: Sprach- oder Design-Einstellungen, bequem, aber nicht zwingend.
• Performance- und Analyse-Cookies: Besuchsstatistiken.
• Marketing- und Tracking-Cookies: Werbung und Retargeting.

Der häufigste Einordnungsfehler: Analyse- oder Marketing-Cookies als "unbedingt erforderlich" zu führen. Erforderlich ist ein Cookie nur, wenn die Website ohne ihn tatsächlich nicht funktioniert; Reichweitenmessung hält keine Website am Laufen. Die Kategorie ist entscheidend, denn sie bestimmt, ob eine Einwilligung nötig ist.

Was in die Richtlinie gehört

Eine solide Cookie-Richtlinie enthält:

• Wer verantwortlich ist und wie man ihn erreicht.
• Was Cookies sind und wofür die Website sie einsetzt.
• Pro Cookie: Name, Anbieter, Zweck, Laufzeit und ob Erst- oder Drittanbieter.
• Welche Kategorien eine Einwilligung voraussetzen.
• Wie Besucher ihre Auswahl treffen, ändern und widerrufen.
• Ob Drittanbieter Daten in Länder außerhalb der EU übermitteln.
• Die Rechte der Betroffenen und der Weg, sie geltend zu machen.
• Das Datum der letzten Aktualisierung.

Die Cookie-Liste gehört in eine Tabelle. Das ist für Leser klarer und für Sie praktischer: Eine veraltete Zeile oder ein fehlender Cookie fällt sofort auf.

Das Verhältnis zur Einwilligung: die Richtlinie informiert, das Banner fragt

Unbedingt erforderliche Cookies brauchen keine Einwilligung; hier genügt Transparenz. Analyse-, Funktions- und Marketing-Cookies brauchen sie in der Regel, und zwar bevor die Cookies gesetzt werden.

Die Arbeitsteilung ist einfach: Die Cookie-Richtlinie ist das Informationswerkzeug, das Cookie-Banner das Einwilligungswerkzeug. "Durch die weitere Nutzung stimmen Sie zu" ist keine wirksame Einwilligung; sie braucht eine aktive Entscheidung, und Ablehnen muss so einfach sein wie Zustimmen.

Die Kategorien im Banner und in der Richtlinie müssen exakt übereinstimmen. Fragt das Banner nach "Analyse" und die Richtlinie kennt die Kategorie nicht, oder nennt die Richtlinie eine Kategorie, die das Banner nie abfragt, widersprechen sich beide Dokumente.

Zwecke und Laufzeiten konkret formulieren

"Wir verwenden Cookies, um Ihr Erlebnis zu verbessern" ist kein Zweck. Ein Zweck sagt, was der Cookie tatsächlich tut: "hält Sie angemeldet", "erfasst Besuchsstatistiken", "begrenzt die Wiederholung derselben Anzeige".

Für Laufzeiten gilt dasselbe. "Dauerhaft" ist keine Laufzeit; bei Sitzungs-Cookies steht "bis zum Schließen des Browsers", bei persistenten Cookies die tatsächliche Dauer. Raten ist unnötig: Scan-Ergebnisse zeigen die reale Laufzeit jedes Cookies.

Fünf häufige Fehler

• Die Cookie-Liste einer anderen Website kopieren: Die Richtlinie beschreibt dann deren Website, nicht Ihre.
• "Mit der Nutzung stimmen Sie zu": passives Surfen ist keine Einwilligung.
• Die Kategorie "unbedingt erforderlich" aufblähen, um Cookies an der Einwilligung vorbeizuschleusen.
• Vage Zwecke und Laufzeiten: "verschiedene Zwecke" und "dauerhaft" entleeren den Text.
• Die Richtlinie nie aktualisieren: Ein neues Pixel genügt, und die veröffentlichte Liste stimmt nicht mehr.

Wann sie zu aktualisieren ist

Eine Cookie-Richtlinie ist keine einmalige Aufgabe. Ein vom Marketing ergänztes Conversion-Pixel, ein testweise eingebautes Analyse-Werkzeug oder ein Drittanbieter, der seine eigene Infrastruktur umbaut, lässt Ihre Liste veralten, ohne dass es jemand meldet.

Verlässlich wird es mit regelmäßigen Scans und Änderungsüberwachung: Taucht ein neuer Tracking-Cookie oder ein nicht deklarierter Anbieter auf, meldet der Scan den Aktualisierungsbedarf, statt dass Sie daran denken müssen.

Vorlage oder von Grund auf?

Eine Vorlage ist ein brauchbares Gerüst; Definitionen, Rechte und Kontaktangaben unterscheiden sich kaum von Website zu Website. Das Herzstück aber, die Cookie-Liste, ist einmalig für Ihre Website und kommt aus keiner Vorlage. Genau die Lücke, die die Vorlage offen lässt, ist der eigentliche Aufwand.

DILAYS verbindet beide Schritte: Es scannt Ihre Website, erstellt das Cookie-Inventar und erzeugt daraus die Cookie-Richtlinie. Weil die Liste aus echten Scan-Daten stammt, passen veröffentlichte Richtlinie und Website zusammen.

Checkliste

• Die gesamte Website wurde gescannt, ein aktuelles Cookie-Inventar liegt vor.
• Jeder Cookie steckt begründet in einer der vier Kategorien.
• Die Cookie-Tabelle nennt Name, Anbieter, Zweck, Laufzeit und Herkunft.
• Zwecke und Laufzeiten sind konkret, ohne vage Formulierungen.
• Bei einwilligungspflichtigen Kategorien holt das Banner die Einwilligung ein, bevor Cookies gesetzt werden.
• Banner-Kategorien und Richtlinien-Kategorien stimmen exakt überein.
• Anbieter mit Datenübermittlung ins Ausland sind benannt.
• Das Ändern der Auswahl und der Widerruf der Einwilligung sind erklärt.
• Das Datum der letzten Aktualisierung ist sichtbar.
• Eine Routine überwacht Änderungen an der Website.